Kritische Infrastruktur: „Kameras verhindern keine Sabotage“

Mehrere Sabotageakte auf Umspannwerke stellen den Schutz der kritischen Infrastruktur in Deutschland infrage. Sicherheitsexperte Manuel Atug über die größten Schwachstellen – und was statt Videoüberwachung wirklich hilft

Innerhalb weniger Tage kam es an mehreren Umspannwerken in Deutschland zu mutmaßlichen Sabotageakten: in Bergheim bei Köln und in Jänschwalde in Südbrandenburg wurden Abschlussvorrichtungen für selbstgebaute Flugkörper mit leitfähigem Material gefunden, die Kurzschlüsse auslösten. Weitere verdächtige Funde gab es unter anderem in Dormagen bei Aachen und in Niedersachsen. Die Behörden gehen von koordinierter verfassungsfeindlicher Sabotage aus, mehrere Bekennerschreiben werden geprüft. Zu größeren Versorgungsausfällen kam es bislang nicht. 

Manuel Atug ist Gründer und Sprecher der AG Kritis, einem Zusammenschluss unabhängiger Fachleute, die beruflich mit Schutz kritischer Infrastruktur (Kritis) befasst sind und auch die Bundesregierung beraten. Im Capital-Interview erzählt er, was die Sabotageakte über den Zustand der Energieinfrastruktur in Deutschland aussagen und warum die aktuelle politische Debatte in die falsche Richtung geht. 

CAPITAL: Herr Atug, innerhalb weniger Tage gab es mehrere mutmaßliche Sabotageakte an Umspannwerken in Deutschland. Ist unsere Energieinfrastruktur so schlecht gegen Angriffe geschützt?
MANUEL ATUG: Nein, das würde ich so nicht sagen. Es gab Vorfälle, aber in den Auswirkungen für die Bevölkerung waren sie nicht relevant. Bei Bergheim oder Jänschwalde gab es alternative Energiequellen, durch die weiter versorgt werden konnte. Die Bevölkerung hat deshalb am Ende nichts gemerkt. Ganz anders war es in Berlin Anfang des Jahres. 

Sie sprechen den großen Stromausfall an. Was lief in Berlin anders?
Da hat sich gezeigt, wie schlecht die Voraussetzungen beim Krisenmanagement waren, bei der Krisenkommunikation und der Koordination. Die Querverbindungen zwischen Brandenburg und Berlin waren bekannt unzureichend ausgebaut, das wusste man schon seit der Wende. Als der Notfall eintrat, konnte man eben nicht schnell auf andere Leitungen ausweichen. Das Problem war, dass die Infrastruktur nicht vorhanden war, um die Versorgung für die Bevölkerung aufrechtzuerhalten.

Heißt das: Entscheidend ist weniger, einen Angriff zu verhindern, als seine Folgen beherrschbar zu machen?
Betreiber müssen nicht jede Sabotage verhindern können, das ist auch unrealistisch. Ihre Priorität muss sein, dass die Versorgung der Bevölkerung weiterläuft, egal ob ein Naturereignis, ein Unfall oder eine Vorsatzhandlung als Störung der Versorgung eintritt. Das ist die eigentliche Kernfrage: nicht jeden Angriff zu verhindern, sondern sicherzustellen, dass die Menschen weiter mit Strom, Wasser und Wärme versorgt werden können. Gerade wenn sich solche Situationen beispielsweise wegen des Klimawandels in Zukunft häufen werden.

Das im März verabschiedete Kritis-Dachgesetz soll die kritische Infrastruktur besser schützen. Warum greift es bislang nicht?
Das Gesetz ist momentan eine wirkungslose, leere Hülle. Es fehlen die Verordnungen, die festlegen, wer überhaupt als Kritis-Betreiber gilt und welche Maßnahmen ergriffen werden müssen. Es ist beispielsweise nicht definiert, ab welcher Menge an Energieerzeugung oder ‑übertragung eine Anlage als kritische Infrastruktur gilt. Für den Bereich Cybersicherheit liegt der Schwellenwert aktuell bei etwa 500.000 versorgten Menschen. Für physische Sicherheit gibt es bisher gar keine gesetzliche Grundlage, die das regelt. Das Innenministerium hat schon durchblicken lassen, dass das noch bis zu zwei Jahre dauern kann, bis diese Verordnungen kommen werden. Bis dahin können die Betreiber selbst entscheiden, ob und wie viel sie in physische Sicherheit investieren – oder eben nicht.

Netzbetreiber wollen zusätzliche Schutzmaßnahmen nicht allein finanzieren. Ist das berechtigt?
Dann würde ich mal zurückfragen: Wenn der Staat die Kosten übernehmen soll, darf er dann auch an dem Gewinn beteiligt werden? Da sagen die Betreiber ganz schnell „Nein“. Kosten auslagern, Gewinne behalten – das finde ich nicht gerecht. Wer kritische Infrastruktur betreibt, muss die Menschen zuverlässig versorgen. Wenn der Staat das an private Unternehmen ausgelagert hat, muss er auch die entsprechenden Auflagen mitgeben. 

Über welche Kosten reden wir?
Das lässt sich pauschal schwer sagen. Wer schon gut aufgestellt ist, hat wenig zu tun. Bei vielen Kritis-Betrieben werden es jedoch dutzende Millionen Euro sein, gerade wenn sie viele Standorte haben. 

Was macht den Schutz so teuer?
Ein Umspannwerk könnte beispielsweise mit einer stabilen Mauer, die mindestens 2,5 Meter hoch ist und ein Fundament hat, vor Wassermassen, Unfällen und Sabotageversuchen geschützt werden. Oben Stacheldraht, dazu Detektoren, die anschlagen, wenn jemand versucht, darüber zu klettern. Außerdem braucht es Fluchttüren mit gesicherten Schließanlagen, und das für jede einzelne Anlage. Bei einem Betreiber mit 20 Umspannwerken wird das schnell sehr teuer. 

Nach den jüngsten Sabotagefällen werden Forderungen nach mehr Videoüberwachung laut. Warum halten Sie das für den falschen Ansatz?
Berlin hat nach dem eigenen Stromausfall beschlossen, dass KI-Videoüberwachung die Lösung sein soll. Aber Kameras verhindern keine Sabotage – sie greifen nicht ein, wenn etwas passiert. Kritis-Betreiber brauchen keinen Film davon, was passiert ist, nachdem es schon passiert ist. Das Geld, das in Überwachung fließt, fehlt dann für einen sicheren Betrieb, und wenn es zum physischen Angriff kommt, steht plötzlich alles still, wie es in Berlin der Fall war. 

Was würde stattdessen helfen? 
Detektoren an Zäunen zum Beispiel: Wenn jemand versucht, hochzuklettern, schlägt der Sensor an, ohne dass ich permanent alles filme. Das reduziert die Datenschutzdiskussion und es erfolgt trotzdem sofort eine Meldung. Mehr Stromtrassen in sogenannter Vermaschung beheben Engpässe ebenfalls gut.

Welche Länder machen es besser als Deutschland?
Oft fällt der Verweis auf die Ukraine, aber dort gilt ein anderer rechtlicher Rahmen, weil sich das Land im Krieg befindet. Was man aber zum Beispiel übernehmen könnte: Sie bauen Käfige um Umspannwerke, gegen die Drohnen schlagen. Solche Käfige könnte man auch in Deutschland vorrätig bestellen, sodass man sie im Ernstfall parat hat. Die Ukraine hat zudem viel Reparaturmaterial eingelagert und viele Leute im Notfallmanagement für die Entstörung und Reparatur ausgebildet. Wenn etwas zerstört wird, rücken die aus und reparieren es meist innerhalb von ein bis zwei Stunden.

Sie sagen, entscheidend sei, die Versorgung auch nach einem Angriff aufrechtzuerhalten. Wie funktioniert das in der Praxis? 
Im Fachjargon nennen wir das „Business Continuity Management“. Es geht darum, dass die eigene Dienstleistung weiterläuft. Ein gutes Beispiel ist eine gesundheitliche Notlage wie eine Pandemie. Ein Kraftwerk muss dann sicherstellen, dass der Leitstand rund um die Uhr besetzt bleibt. Wenn das Personal, das isoliert vor Ort tätig ist, dann aber doch infiziert wurde, muss man das Team komplett mit einem anderen isolierten Ersatzteam austauschen können. 

Das klingt nach erheblichem Aufwand. 
Das ist der Punkt. Wer solche Szenarien nicht vorher durchgeplant hat – wer isoliert wann, wie funktioniert die Schleuse zur Versorgung des isolierten Teams ohne Infektionsgefahr, ist genug Material gelagert? – merkt erst im Ernstfall, wie teuer und kompliziert es wird. Da liegt aktuell die größte Schwachstelle bei vielen Betreibern. 

Das Kritis-Dachgesetz soll auch vor Naturkatastrophen schützen. Wird der Klimawandel damit zu einem zusätzlichen Sicherheitsrisiko für die Infrastruktur?
Ja! Die Flut im Ahrtal 2022 ist ein anschauliches Beispiel: Dort ist sehr viel kaputtgegangen, und die Reparaturen haben lange gedauert. Es hat auch über hundert Menschen das Leben gekostet. Durch den Klimawandel werden solche Ereignisse häufiger. Das treibt die Kosten für Prävention zusätzlich, gerade für Kritis-Betreiber in überschwemmungsgefährdeten Gebieten. Ein Maschendrahtzaun oder Videokameras mit KI-Bewegungs- und Gesichtserkennung schützen dann nicht vor Hochwasser.